单个用户通过Microsoft登录Google Cloud身份平台失败求助

错误提示：
Application 'redacted'(redacted) is not configured as a multi-tenant application. Usage of the /common endpoint is not supported for such applications created after '10/15/2018'. Use a tenant-specific endpoint or configure the application to be multi-tenant.

核心原因分析 #

该错误本质是：登录请求使用了Azure AD的/common通用端点，但对应的Azure AD应用未配置为多租户模式。结合仅新增用户无法登录的现象，重点排查以下维度：

1. 验证新用户的microsoftTenantId参数有效性 #

尽管你确认参数已传入，仍需重点核查该用户的microsoftTenantId值：

• 若参数值为common，而Azure AD应用是单租户配置，必然触发此错误。需将其替换为具体的租户GUID或域名（例如contoso.onmicrosoft.com）。
• 核对该用户所属租户的实际ID，确保系统传递的参数与租户真实ID完全一致。

2. 修正代码中的类型判断逻辑 #

当前代码中typeof provider === typeof OAuthProvider的判断逻辑存在缺陷：所有类的typeof结果均为function，无法准确区分OAuthProvider和SAMLAuthProvider，可能导致非OAuth类型的Provider被错误设置参数或添加Scope，间接影响请求行为。
将判断逻辑替换为instanceof：

if (provider instanceof OAuthProvider) {
  provider.addScope('profile');
  provider.addScope('email');
}

3. 对齐Azure AD应用与GCP Identity Platform的配置 #

• Azure AD应用侧：
  • 若应用为单租户模式，确保GCP Identity Platform中配置的Azure AD身份提供商使用了租户特定端点（而非/common），且所有用户登录时传递的microsoftTenantId均为该租户的有效ID。
  • 若需支持多租户，在Azure Portal的应用注册页面，将「支持的账户类型」设置为「任何组织目录中的账户」。
• GCP Identity Platform侧：
  检查对应租户的Azure AD身份提供商配置，确认回调URL、客户端ID等信息正确，且未强制使用/common端点。

4. 启用调试日志追踪请求细节 #

添加Firebase Auth调试日志，查看SDK实际发送的请求参数，确认tenant参数是否正确传递至Azure AD：

import { getAuth, setLogLevel } from "firebase/auth";

// 在Auth初始化后调用
setLogLevel(getAuth(), 'debug');

通过日志可验证是否存在参数被覆盖、未正常传递的情况。

内容的提问来源于stack exchange，提问作者Estevao Santiago